1. Rollen und Gegenstand
Der Kunde ist Verantwortlicher und Natio Connect Auftragsverarbeiter nach Art. 28 DSGVO für Daten in E-Mail und Mini-Website. Gegenstand sind betreute geschäftliche E-Mail und ein Kontaktauftritt; Verarbeitung umfasst Hosting, Formularerfassung, Übertragung, technischen Zugriff, Sicherung, Wiederherstellung, Löschung und Support für Vertragsdauer und Löschzyklus.
Daten können Identitäten, Adressen, Formulareinträge der Mini-Website, Nachrichten, Anhänge, Metadaten, Kontakte, Kalender, Logs und Supportdaten zu Nutzern, Beschäftigten, Kunden, Interessenten, Lieferanten, Partnern und Korrespondenten umfassen.
2. Weisungen und Vertraulichkeit
Natio Connect verarbeitet nur nach dokumentierten Weisungen aus Vertrag, Konfiguration und Supportanfragen, sofern kein Gesetz anderes verlangt. Befugte Personen sind zur Vertraulichkeit verpflichtet. Nachrichteninhalte werden nicht für Werbung gelesen.
3. Sicherheit
- Zugriffskontrolle und logische Mandantentrennung;
- Transportverschlüsselung, soweit unterstützt;
- getrennte Geheimnisverwaltung und zeitlich begrenzte Links;
- Spam- und Virenschutz, Protokollierung, Updates und Überwachung;
- technische Backups, Wiederherstellung und geringste Rechte.
4. Unterauftragnehmer und Übermittlungen
Der Kunde genehmigt allgemein die veröffentlichte Liste. Gleichwertige Pflichten werden vereinbart. Wesentliche Änderungen werden grundsätzlich 15 Tage vorher mitgeteilt; ein begründeter Einwand wegen Datenschutzrisiken ist möglich. Übermittlungen außerhalb des EWR benötigen einen Mechanismus nach Kapitel V DSGVO.
5. Unterstützung und Verletzungen
Natio Connect unterstützt angemessen bei Betroffenenrechten, Folgenabschätzungen, Behördenkonsultationen und Sicherheit. Verletzungen personenbezogener Daten werden nach Bekanntwerden unverzüglich mit den verfügbaren Angaben gemeldet.
6. Rückgabe, Löschung und Prüfung
Vor Vertragsende kann der Kunde E-Mail über unterstützte Protokolle exportieren. Danach werden aktive Daten nach angemessener Weisung zurückgegeben oder gelöscht, soweit keine Aufbewahrungspflicht besteht; Restkopien laufen in normalen Backupzyklen aus. Angemessene Nachweise und eine verhältnismäßige Prüfung pro Jahr mit 30 Tagen Vorlauf sind möglich.
7. Pflichten des Kunden
Der Kunde verantwortet rechtmäßige Zwecke, Hinweise an Betroffene, Datenminimierung, Endgerätesicherheit, Zugriffsverwaltung und Schutz besonderer Kategorien. Daten mit außergewöhnlichen Anforderungen dürfen nur nach vorheriger geeigneter Vereinbarung übermittelt werden.